Zergatik ASA-ko urruneko erabiltzaileak azpisarea iristen duen baina ez aplikazioa
Ibilbideek tunela funtzionatzen duela frogatzen dute, ez erabiltzaileak aplikazioa ireki dezakeenik. Irakurri saioak jaso zuen iragazkia, gero probatu baimendutako eta ukatuako konexio bat.
Zure erabiltzailea konektatzen da, helbide bat lortzen du, aplikazioaren azpisarean dagoen zerbitzari bati ping egiten dio eta hala ere ezin du bertako zerbitzua ireki. Konbinazio hori normala da ASA batean, zeren tunel arrakastatsu bat eta erabilgarria den baimen bat ezarpen desberdinek erabakitzen dituzte. Tunel zatituaren zerrendak aukeratu zuen zein helmuga sartu ziren tunelean; VPN iragazki batek eta helmugaren beraren sarbide arauek erabakitzen dute deskifratutako eskaerak zer irits dezakeen. Hiru erabakiak ordenan landu, ibilbide zerrenda zabaldu beharrean, zerbait aldatu arte.
Nahasteko errazak diren hiru erabaki
Onarpenak erantzuten du erabiltzaileak tunela eraiki dezakeen: kredentzialak, ziurtagiria eta edozein bigarren faktore. Ibilbide hautaketak erantzuten du bezeroak zein helmuga bidaltzen dituen tunel horretara. Baimenak erantzuten du deskifratutako eskaerak zerbitzua irits dezakeen. Hirugarrenak soilik sortzen du erabiltzaileak salatzen duen errorea.
Haiek bereizteko modu azkarra aldaketa batek zer hautsiko lukeen galdetzea da. Zerrenda zatikitik ibilbide bat kentzeak azpisare horretarako trafikoa gelditzen du ezer eman gabe; VPN iragazkira ACE bat gehitzeak helmuga bat ematen du bezeroak tunelatzen duena aldatu gabe.
| Setting | What it decides | Symptom when it is wrong |
|---|---|---|
| Connection profile and authentication | Whether the tunnel is built | Login fails, no address assigned |
| Split-tunnel network list | Which destinations the client routes into the tunnel | Subnet unreachable from the client, everything else fine |
| VPN filter (ACL) | Which decrypted flows are permitted | Tunnel up, ping may work, TCP service refused or dropped |
Irakurri saioak benetan jaso zuen iragazkia
Hasi zuzeneko saiotik, aplikatzen dela uste duzun konfiguraziotik beharrean. show vpn-sessiondb detail anyconnect komandoak esleitutako talde-politika eta saio horri atxikitako iragazkiaren izena inprimatzen ditu. Eremua hutsik badago, inongo iragazkik ez du ezer inposatzen eta blokeoa beste nonbaitetik dator.
Gero irakurri balioa duen politika, lehenetsitako balioak barne, iragazkia hereda daitekeelako begiratzen ari zaren tokian idatzita egon beharrean:
show run all group-policy <policy-name>
show run access-list <acl-name>
show run webvpn
Konparatu saioko iragazkiaren izena oraintxe editatu duzun ACLarekin. Erabiltzaileak inoiz jaso ez zuen antzeko izeneko ACL batek ezin du saio horren baliabide-politika aldatu, eta hori da itxuraz zuzena den aldaketa batek eraginik ez izateko arrazoi ohikoena.
Lehentasunak gainerakoa azaltzen du. Iragazkiaren ezarpenerako, DAP erregistro batek erabiltzaile-izenaren atributuak gainditzen ditu, eta erabiltzaile-izenaren atributuek talde-politika gainditzen dute. Saio batek espero ez zenuen iragazki bat erakusten badu, bilatu erabiltzaile horrekin bat datorren DAP politika taldea ukitu aurretik.
Zerrenda zatitua eta iragazkia eremu bereiziak dira
ASA 9.x-n talde-politikak split-tunnel-network-list eta vpn-filter ezarpen desberdin gisa gordetzen ditu, eta 9.22 talde-politiken gidak bereizita dokumentatzen ditu horregatik. Sare-zerrenda bezeroarentzako bideratze-arrasto bat da; iragazkia deskifratutako trafikoari aplikatzen zaion sarbide-kontrol zerrenda da.
Bereizketa horrek garrantzia du erabiltzaileak azpisare batean HTTPS zerbitzu bakarra behar duenean. Jarri azpisarea zerrenda zatikian paketeak tunelean sar daitezen, gero baimendu zerbitzu hori soilik iragazkian. Ibilbide zerrenda zabaltzeak ez du ezer baimendatzen, eta murriztea ez da betearazpen mekanismo bat.
Egiaztatu interfaze ACL bat bidean dagoen ere
Deskifratutako urruneko sarbideko trafikoak ez du beti kanpo-interfazearen ACL-a zeharkatzen jendeak uste duen bezala. Non sysopt connection permit-vpn gaituta dagoen, ASAk trafiko horretarako dokumentatutako VPN saihesbidea aplikatzen du, eta aplikagarriak diren VPN iragazkiek geroago ere balio dute. Egiaztatu ezarpena show run all sysopt komandoarekin, topologia-diagramatik arrazoitu beharrean.
Edozein kasutan, helmugako ostalariaren beraren suebakia eta aplikazioaren baimena bidean geratzen dira. TCP 443 baimenduko duen ASA arau batek ez du aplikazioak erabiltzailea onartuko.
Onartu aldaketa ukatutako konexio batekin ere
Baimendutako proba bakar batek oso gutxi frogatzen du, tunel funtzional batek lehen pakete bera sortzen duelako iragazkirik egon ala ez. Ireki helburuko zerbitzua bezerotik, gero itxita egon behar duen helmuga bat probatu eta egiaztatu arrazoi egokiagatik huts egiten duela.
Erregistratu lau gertaera txartela itxten duzunean: onartutako identitatea, saioak benetan jaso zituen politika eta iragazkia, zerrenda zatikiko helmugak eta erabiltzaileak iristeko baimena zuen baliabidea. Lau horiek azaltzen dute non kontrolatzen den trafikoa, ibilbide zerrenda suebaki bihurtu gabe.
Zerbitzuak ukatzen jarraitzen badu iragazkiak baimendu ondoren, joan ostalarira: entzuteko helbidea, ostalariaren suebakia eta aplikazioaren beraren erabiltzaile-mapaketa. Tunelak orduan egin zuen bere lana, eta ASAn egindako aldaketa gehiagok arriskua baino ez dute gehitzen.